ITパスポート 2012年 秋期 問62

無線LANのセキュリティ対策でアクセスポイント（AP）で行う対策ではないものを選べ【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文を確認：対象は「無線LANアクセスポイントで行うセキュリティ対策」かどうか。
2. 各選択肢が「APの設定で行う」ものか「端末側で行う」ものかを判断する。
3. APで設定できない（＝端末側で行う）ものを選ぶ。
   → パーソナルファイアウォールは端末に導入するため、APでは行わない。

選択肢別の誤答解説

• ア: MACアドレスによるフィルタリングを設定する。
  • 正しい行為（APで設定できる）。
  • MACアドレス（Media Access Control address：ネットワーク機器ごとに割り当てられる識別子）を許可/拒否リストにして接続を制限します。APの多くにこの機能があります。
• イ: 通信内容に暗号化を施す。
  • 正しい行為（APで設定する）。
  • 暗号化とは通信データを第三者に読まれないようにする処理です。無線LANではWPA2/WPA3（Wi‑Fi Protected Access）などの方式をAP側で有効にします。APと端末の両方で対応している必要があります。
• ウ: パーソナルファイアウォールを導入する。
  • 誤り（APで行う対策ではない）。
  • パーソナルファイアウォールはホスト型ファイアウォール（host-based firewall：端末ごとの防御）であり、各端末にインストールして設定します。APはネットワーク機器なので「端末個別のパーソナルファイアウォール」を代わりに導入できません（APにもネットワークファイアウォール機能があることはありますが、それは別物です）。
• エ: 無線LANのESSIDのステルス化を行う。
  • 正しい行為（APで設定できる）。
  • ESSID（Extended Service Set Identifier / SSID：ネットワーク名）を外部にブロードキャストしないようにする設定で、AP側で行います（ただし効果は限定的です）。

よくある誤解

1. 「ESSIDのステルス化で完全に安全になる」
   • 実際はステルス化（SSIDブロードキャスト停止）は隠しリストのような効果しかなく、電波を解析すればネットワーク名は容易に見つかります。真の防御ではありません。
2. 「MACフィルタリングは強力な防御」
   • MACアドレスは偽装（スプーフィング）可能です。MACフィルタは障害物としての役割はありますが、単独での安全確保には不十分です。
3. 「APにファイアウォールがあれば端末のファイアウォールは不要」
   • ネットワーク型ファイアウォール（AP/ルータ側）とホスト型（端末側）は役割が異なります。両方を適切に設定することが望ましいです。

補足コラム

1. WPA3 または WPA2（AES）による強い暗号化を有効にする。WEPは古く脆弱なので使わない。
2. 強く長いパスフレーズ（パスワード）を設定する。推測されにくいものを。
3. APと端末のソフト（ファームウェア、OS）の定期更新を行う。脆弱性修正のため重要です。
4. 端末ごとにパーソナルファイアウォールと最新のウイルス対策を導入する。
5. 必要に応じてゲスト用SSIDを分離して業務ネットワークと分ける（セグメンテーション）。

FAQ